AWS Client VPN ക്ലയന്റ് CIDR VPC ശ്രേണിയുമായി ഓവർലാപ്പ് ആകരുത്

AWS Client VPN എൻഡ്‌പോയിന്റ് നിങ്ങൾ തിരഞ്ഞെടുക്കുന്ന പൂളിൽ നിന്ന് ക്ലയന്റ് വിലാസങ്ങൾ നൽകുന്നു, എൻഡ്‌പോയിന്റ് സൃഷ്ടിക്കുന്നതിന് മുമ്പ് AWS ആ പൂൾ ലക്ഷ്യ നെറ്റ്‌വർക്കുമായി പരിശോധിക്കുന്നു. സബ്‌നെറ്റ് ഒഴിഞ്ഞതായി തോന്നുന്നുണ്ടോ എന്നതല്ല പരിശോധന. പൂൾ VPC ശ്രേണിയുമായി ഓവർലാപ്പ് ചെയ്യുന്നുണ്ടോ എന്നതാണ്, ഇന്ന് ഏതെങ്കിലും EC2 ഇൻസ്റ്റൻസ് ആ വിലാസങ്ങൾ ഉപയോഗിക്കുന്നുണ്ടോ ഇല്ലയോ എന്നത് ഉത്തരത്തെ മാറ്റുന്നില്ല. ഓവർലാപ്പ് ശ്രേണികളുടെ ചോദ്യമാണ്, അലോക്കേഷനുകളുടെയല്ല.

അഞ്ച് പരിശോധനകൾ ക്രമത്തിൽ ചെയ്യുക. ആദ്യം പരാജയപ്പെടുന്നിടത്ത് നിർത്തുക, കാരണം പിന്നീടുള്ള ഒരു ഘട്ടത്തിനും മുൻ തീരുമാനം തിരുത്താനാകില്ല.

ഓവർലാപ്പ് ശ്രേണികളുടെ പരിശോധനയാണ്, ഒഴിഞ്ഞ വിലാസങ്ങളുടെയല്ല

നിങ്ങൾ ബന്ധിപ്പിക്കാൻ ഉദ്ദേശിക്കുന്ന സബ്‌നെറ്റിൽ നിന്നല്ല, VPC യുടെ CIDR ൽ നിന്ന് തുടങ്ങുക. 172.20.0.0/22 പൂൾ 172.20.0.0/16 VPC യുടെ ഉള്ളിലാണ്, ഒരു സബ്‌നെറ്റും അത് കൈവശപ്പെടുത്തിയില്ലെങ്കിലും നിരസിക്കപ്പെടുന്നു, കാരണം ഓവർലാപ്പ് ശ്രേണികളുടെ സ്വഭാവമാണ്, നിലവിലെ അലോക്കേഷനുകളുടെയല്ല. തുടർന്ന് എൻഡ്‌പോയിന്റ് റൂട്ട് ചെയ്യുന്ന ലക്ഷ്യങ്ങൾ ചേർക്കുക: പിയർ VPC, ട്രാൻസിറ്റ് ഗേറ്റ്‌വേ, സൈറ്റ്-ടു-സൈറ്റ് കണക്ഷനിലൂടെയുള്ള ഓൺ-പ്രിമൈസസ് ശ്രേണികൾ. ക്ലയന്റിന് എത്തേണ്ടി വരാവുന്ന ഏത് ശ്രേണിയും പട്ടികയിൽ വരും.

അവ ഓർമ്മയിൽ നിന്നല്ല, അക്കൗണ്ടിൽ നിന്ന് ശേഖരിക്കുക: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", കൂടെ നിങ്ങൾ ബന്ധിപ്പിക്കാൻ ഉദ്ദേശിക്കുന്ന സബ്‌നെറ്റിന്റെ റൂട്ട് ടേബിൾ എൻട്രികളും.

പൂളിന്റെ വലിപ്പം നിർമ്മിക്കുന്നതിന് മുമ്പ് തീരുമാനിക്കുന്നു

AWS Client VPN ൽ /22 മുതൽ /12 വരെയുള്ള IPv4 ക്ലയന്റ് പൂൾ സ്വീകരിക്കുന്നു. /24 വളരെ ചെറുതാണ്, /8 രേഖപ്പെടുത്തിയ ശ്രേണിക്ക് പുറത്താണ്, രണ്ട് പിഴവുകളും പൂൾ ഒരു വർക്ക്‌ലോഡ് സബ്‌നെറ്റ് പോലെ അളക്കുന്നതിൽ നിന്ന് വരുന്നു. പ്രതീക്ഷിക്കുന്ന ഒരേസമയ ക്ലയന്റുകളും മാർജിനും അനുസരിച്ച് അളക്കുക, പിന്നീട് അനുവദനീയമായ പ്രിഫിക്സിലേക്ക് റൗണ്ട് ചെയ്യുക.

കൺസോളിൽ ടൈപ്പ് ചെയ്യുന്നതിന് മുമ്പ് ഗണിതം പരിശോധിക്കുക, കാരണം തെറ്റായി ടൈപ്പ് ചെയ്ത പ്രിഫിക്സ് ഒരു മുന്നറിയിപ്പുമില്ലാതെ പൂളിന്റെ വലിപ്പം മാറ്റുന്നു:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

അത് വിലാസങ്ങളുടെ എണ്ണവും പ്രിഫിക്സിന്റെ നീളവും സ്ഥാനാർത്ഥി VPC ശ്രേണിയുമായി കൂട്ടിയിടിക്കുന്നുണ്ടോ എന്നതും അച്ചടിക്കുന്നു, മാറ്റ വിൻഡോയുടെ അവസാനം നെറ്റ്‌മാസ്കുകളെക്കുറിച്ച് ചിന്തിക്കുന്നതിനേക്കാൾ വേഗതയുള്ളതാണ്.

റിസോൾവർക്ക് സ്വന്തം വിലാസ പങ്കുണ്ട്

VPC റിസോൾവർ VPC ശ്രേണിയുടെ അടിസ്ഥാന വിലാസത്തിൽ രണ്ട് കൂട്ടി ഉത്തരം നൽകുന്നു, അത് നിങ്ങൾ ബന്ധിപ്പിച്ച സബ്‌നെറ്റിനുള്ളിൽ ആയിരിക്കണമെന്നില്ല. റിസോൾവർ ക്ലയന്റ് പൂളിൽ തന്നെ വേണമെന്ന് കരുതുന്നതോ ആ വിലാസത്തിന് ചുറ്റും സബ്‌നെറ്റ് നിർമ്മിക്കുന്നതോ ഒന്നും മാറ്റാതെ വസ്തുക്കൾ കൂട്ടുന്നു. പ്രധാനമായത് എൻഡ്‌പോയിന്റ് ക്ലയന്റിന് പ്രയോഗിക്കാവുന്ന DNS ക്രമീകരണം വഹിക്കുന്നു എന്നതും റിസോൾവർ ടണലിൽ നിന്ന് എത്താവുന്നതാണ് എന്നതുമാണ്.

റിസോൾവർ, ക്ലയന്റ് പൂൾ, ബന്ധിപ്പിച്ച സബ്‌നെറ്റ് എന്നിവ വിലാസ പ്ലാനിൽ മൂന്ന് വേറിട്ട ഇനങ്ങളായി രേഖപ്പെടുത്തുക. അവ സ്വതന്ത്രമായി പരാജയപ്പെടുന്നു, ഒന്ന് ശരിയായത് മറ്റ് രണ്ടിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല.

സൃഷ്ടിക്കുമ്പോൾ നിങ്ങൾ പ്രതിജ്ഞാബദ്ധരാകുന്ന നാല് ഫീൽഡുകൾ

ക്ലയന്റ് IPv4 CIDR സൃഷ്ടിക്കുമ്പോൾ നിശ്ചിതമാകുന്നു. DNS സർവർ മാറ്റുന്നത്, അസോസിയേഷൻ ചേർക്കുന്നത്, സെക്യൂരിറ്റി ഗ്രൂപ്പ് മാറ്റുന്നത്, അംഗീകാര നിയമങ്ങൾ തിരുത്തുന്നത് അല്ലെങ്കിൽ split-tunnel റൂട്ടുകൾ മാറ്റുന്നത് എല്ലാം സാധാരണ തിരുത്തലുകളാണ്, അവയൊന്നും പൂളിന്റെ പേര് മാറ്റുന്നില്ല. ഈ അസമത്വമാണ് ഇത് അവലോകനത്തിന് അർഹമാക്കുന്നത്: വിലകുറഞ്ഞ ക്രമീകരണങ്ങൾ പിന്നീട് മാറ്റാൻ ആഗ്രഹിക്കുന്നവയാണ്, വിലകൂടിയത് നിങ്ങൾ ആദ്യം പ്രതിജ്ഞാബദ്ധരാകുന്നതാണ്. മാറ്റ വിൻഡോ ആസൂത്രണം ചെയ്യുന്നതിന് മുമ്പ് എൻഡ്‌പോയിന്റിന്റെ വിവരണം വായിക്കുക.

പുനർനിർമ്മാണം അനുമാനിക്കുന്നതിന് മുമ്പ് വിന്യസിച്ച എൻഡ്‌പോയിന്റ് പരിശോധിക്കുക. aws ec2 describe-client-vpn-endpoints പൂൾ, DNS, split-tunnel ഫ്ലാഗ്, അസോസിയേഷനുകൾ എന്നിവ ഒരൊറ്റ പ്രതികരണത്തിൽ നൽകുന്നു, ഇത് സാധാരണയായി പുനർനിർമ്മാണം ഒഴിവാക്കാൻ മതിയാകും.

എൻഡ്‌പോയിന്റ് പാച്ച് ചെയ്യുന്നതിനുപകരം മാറ്റിസ്ഥാപിക്കുക

പുതിയ എൻഡ്‌പോയിന്റ് പുതിയ എൻഡ്‌പോയിന്റാണ്, മൈഗ്രേഷനല്ല. നിലവിലുള്ള സെഷനുകൾ അതിലേക്ക് പോകുന്നില്ല, ക്ലയന്റ് പ്രൊഫൈലുകൾ മറ്റൊരു പേരിലേക്ക് ചൂണ്ടുന്നു, നിങ്ങൾ സ്വാഭാവികമെന്ന് കരുതിയ ഓരോ ക്രമീകരണവും വീണ്ടും സൃഷ്ടിക്കണം: സർവർ സർട്ടിഫിക്കറ്റ്, പ്രാമാണീകരണം, അസോസിയേഷനുകൾ, റൂട്ടുകൾ, അംഗീകാര ഗ്രൂപ്പുകൾ, ലോഗിംഗ്. ആവശ്യമായ സ്വകാര്യ സേവനത്തിനും നിരസിക്കപ്പെടേണ്ട ലക്ഷ്യത്തിനും എതിരെ ഒരു ക്ലയന്റ് ഉപയോഗിച്ച് സാധൂകരിക്കുക, പിന്നീട് പ്രവേശനം വിപുലീകരിക്കുക. ഒഴിവാക്കുന്നതെല്ലാം പിന്നീട് സപ്പോർട്ട് ടിക്കറ്റാകും.

ആ സാധൂകരണം കടക്കുന്നതുവരെ പഴയ എൻഡ്‌പോയിന്റ് പ്രവർത്തിക്കാൻ അനുവദിക്കുക, പുതിയതിനെ ആശ്രയിക്കാത്ത ഒരു അഡ്മിനിസ്ട്രേറ്റീവ് പാത സൂക്ഷിക്കുക.

എടുത്തുപറയേണ്ട ഒരു അതിർവരമ്പുണ്ട്: ഇത് IPv4 ക്ലയന്റ് പൂളിനെ ഉൾക്കൊള്ളുന്നു. Client VPN ലെ dual-stack, IPv6 ട്രാഫിക് ക്രമീകരണങ്ങൾ അവയുടെ സ്വന്തം അഡ്രസിംഗ് മോഡൽ പിന്തുടരുന്നു, അതിനാൽ ആ മോഡിന്റെ ഡോക്യുമെന്റേഷൻ വായിക്കാതെ ഈ പട്ടിക പകർത്തരുത്.